CVE-2026-49869

Nome do Software Vulnerável e Versões Afetadas Kestra versões anteriores a 1.0.45 Kestra versões anteriores a 1.3.21

Description Existe uma falha de bypass de autenticação no AuthenticationFilter do Kestra OSS. O sistema utiliza uma correspondência de sufixo através de request.getPath().endsWith("/configs") para colocar o endpoint de configuração pública em uma lista de permissões (whitelist) do Basic Auth. Como não se trata de uma correspondência exata de caminho, qualquer caminho de API que termine com configs ignora a autenticação. Isso permite que um invasor remoto não autenticado crie e execute fluxos de trabalho arbitrários. Devido à ativação padrão de plugins de execução de scripts, como plugin-script-shell e plugin-script-python, isso pode resultar em Execução Remota de Código (RCE) não autenticada como root dentro do container do worker do Kestra.

Recommendations Atualizar para a versão 1.0.45. Atualizar para a versão 1.3.21.